CodeGuard: PySec Edition

Программисты, это вам 👇 Держите 5 каналов, которые реально помогают изучать программирование и IT с полного нуля: 🖥 Easy Coder — все направления IT. 👩‍💻 Easy Python — всё о Python. 🌐 Easy WebDev — Frontend, Backend. 🔠 Easy InfoSec — ИБ, Хакинг. 🖥 Easy GitHub — лучшее с GitHub. Тонны бесплатной инфы для любого уровня подготовки ✔️

6️⃣ команд Linux, которые нужны в первые 10 минут расследования Алерт: на сервере что-то не так. Ты открываешь терминал. Время идёт. Вот шесть команд, которые дают первичную картину — от активных соединений до файлов, которые кто-то только что изменил. Без них ты будешь гадать. С ними — увидишь, куда смотреть. 1. Кто сейчас в сети и куда стучится

ss -tulpn

ss — современная замена netstat. Показывает слушающие порты, установленные соединения и PID процессов. Если видишь незнакомый процесс, слушающий порт — это первая зацепка. 2. Кто открыл файлы и сокеты

lsof -i

lsof -i показывает все сетевые соединения, привязанные к процессам. Если какой-то процесс держит соединение с подозрительным IP — ты увидишь это сразу. Для конкретного порта: lsof -i :80. 3. Что изменилось только что

find / -mmin -30 -type f 2>/dev/null

Файлы, изменённые за последние 30 минут. Атакующий мог оставить скрипт, конфиг или бэкдор. Эта команда покажет свежие следы. Для более точного окна — -mmin -5. 4. Кто пытался войти и с какого IP

grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head

Классика. Показывает топ IP по числу неудачных SSH-логинов. Если один IP долбит сотнями попыток — это брутфорс. Если после этого есть Accepted с того же IP — это уже компрометация. 5. Что делал пользователь после входа

grep "Accepted" /var/log/auth.log | tail -5

Смотри, с каких IP заходили и под какими пользователями. Если видишь вход с незнакомого IP под root — эскалируй немедленно. 6. Куда уходят данные

tcpdump -i any -c 100 -nn

Быстрый захват 100 пакетов. Если видишь исходящие соединения на неизвестные IP с большим объёмом данных — это потенциальная эксфильтрация. Для глубокого анализа — -w capture.pcap и открыть в Wireshark. Практический пример Сервер начал тормозить. Запускаешь ss -tulpn — видишь процесс python3на незнакомом порту. lsof -i показывает, что он держит соединение с внешним IP. find / -mmin -30 находит скрипт в /tmp. grep по auth.logпоказывает брутфорс и успешный вход. Цепочка собрана за 10 минут. 😈 CodeGuard: PySec Edition | Чат

AhsayCBS: CVSS 10.0, веб-шелл в бэкапе и патч, который не удаляет то, что уже закреплено Пока все патчат PHP, есть цепочка, которая бьёт по инфраструктуре, которую обычно трогают в последнюю очередь — по серверам резервного копирования. AhsayCBS (Ahsay Cloud Backup Suite) — это серверная часть, которая принимает и хранит бэкапы клиентов. Атакующие используют две уязвимости вместе: обход аутентификации и инъекцию команд. Результат — веб-шелл в веб-доступной директории и потенциальный доступ ко всем бэкапам, которые через этот сервер проходят. Что за цепочка 🔵CVE-2026-105133 — improper authentication в функции checkSysPwd. CVSS v4 5.5. Сама по себе не критична, но открывает дверь. 🔵CVE-2026-105134 — OS command injection в компоненте Replication Receiver (/rps/api/json/UpdateReceivers.do). VulDB оценивает в CVSS 10.0, NVD — 9.3 по CVSS v4. Позволяет выполнить команды ОС или записать файл, например JSP веб-шелл, в директорию, которую отдаёт веб-сервер. Вместе: атакующий обходит аутентификацию, затем пишет шелл и получает выполнение кода. Условие для CVE-2026-105134: сервер должен быть настроен или лицензирован как replication receiver. Если у вас AhsayCBS без этой роли — второй этап не сработает, но первый всё равно остаётся риском. Хронология

✨ 4 октября 2026 — обе CVE опубликованы в NVD. В записях указано, что публичный эксплойт существует. ✨ 7–8 октября — первые инциденты в Bitdefender MDR. Совпадают с первыми публичными сообщениями об эксплуатации и первыми advisory от Ahsay. ✨ 12 октября — Ahsay выпускает хотфиксы: v10.3.4.45 для v10 и v9.15.2.70 для v7/v8/v9. В том же advisory указано, что предыдущие патчи v10.3.4.0 и v9.15.2.59 не закрывали уязвимости полностью. ✨ 14 октября — CISA добавляет обе CVE в KEV.

Почему это важно

🤨 Бэкап-сервер — это концентрат данных. Если атакующий получает на нём выполнение кода, он потенциально видит все резервные копии, которые через него проходят. Это не «ещё одна CVE в веб-приложении». Это доступ к страховке, которая должна спасать от ransomware. И если она скомпрометирована — восстанавливаться не из чего.

Ссылка 🔗 Bitdefender: Technical Advisory — AhsayCBS Exploitation Chain — бесплатно 🔗 Horizon3: CVE-2026-105133 & CVE-2026-105134 — AhsayCBS — бесплатно 🔗 CERT.GOV.VU: Advisory 356 — бесплатно 😈 CodeGuard: PySec Edition | Чат

PHP2Shell: ИИ нашёл дыру, которой больше десяти лет. Теперь её эксплуатируют миллионами попыток Пока одни обсуждают очередную CVE в VPN-шлюзе, произошло то, что затрагивает около 70% сайтов в интернете. Две критические уязвимости в PHP — языке, на котором работает WordPress, большинство кастомных движков и огромная часть бэкендов. CVSS 9.2. Без аутентификации. Без клика. И — самое неприятное — эксплуатировать их начали за четыре дня до того, как о них стало известно. Что произошло

🤨 21 октября 2026 года команда PHP выпустила экстренные обновления вне цикла для двух уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе получили CVSS 9.2 по версии 4.0 — максимальная категория «критическая».

В отличие от уязвимостей в CMS или плагинах, эти дыры находятся в самом рантайме PHP. Обновление WordPress или сторонней библиотеки их не закрывает. Под ударом — любая установка PHP, которая обслуживает веб-запросы: Apache с mod_php, NGINX с PHP-FPM, LiteSpeed. Как это работает Обе уязвимости связаны с обработкой памяти.

🔥CVE-2026-109618 — ошибка при нехватке памяти (out-of-memory). Когда PHP не может корректно завершить инициализацию данных запроса, он неправильно интерпретирует частично заполненные структуры как валидные. Это приводит к повреждению памяти и выполнению кода. 🔥CVE-2026-109619 — use-after-free. После аномального завершения запроса PHP не сбрасывает глобальное состояние. Следующий запрос может обратиться к уже освобождённой памяти. Это позволяет читать чувствительные данные (пароли, токены, API-ключи) или выполнить произвольный код.

Для mod_php рабочий эксплойт уже подтверждён. Для PHP-FPM эксплуатация зависит от приложения, но исследователи также демонстрировали RCE. Почему это важно: ИИ изменил правила Уязвимости существовали более десяти лет. Их нашли не люди, а модели искусственного интеллекта — OpenAI и Google. В блоге OpenAI говорится, что компания координировала усилия исследователей и security-провайдеров в течение двух месяцев, чтобы закрыть дыры до раскрытия.

🤨 Но есть нюанс. Amazon зафиксировала попытку эксплуатации 17 октября — за четыре дня до публичного раскрытия. Либо произошла утечка, либо атакующие тоже используют AI для анализа патчей. Вице-президент BSI Томас Касперс заявил, что массовая эксплуатация вероятна в течение нескольких часовпосле выхода обновлений, потому что атакующие могут анализировать патчи AI-инструментами и быстро генерировать эксплойты.

😈 CodeGuard: PySec Edition | Чат

Перестань страдать от белых списков ❌ Нашли лучший способ обойти все ограничения и даже заработать на этом‼️ STRELKA VPN — обходит все блокировки и даже белые списки Забирай бесплатный пробный период:

🤯 PHP2Shell: две критические RCE-уязвимости в PHP, которые затрагивают половину интернета Пока все обсуждают очередную CVE в VPN-шлюзе, в PHP нашли две дыры, которые эксплуатируются без пароля и без единого клика. CVSS 9.2. Под ударом — Apache с mod_php, NGINX с PHP-FPM, FrankenPHP и LiteSpeed. Если ваш сайт или сервис работает на PHP — это не «где-то там», это ваш периметр. Что произошло

🤨 21 октября 2026 года команда безопасности PHP выпустила экстренное обновление вне цикла для двух критических уязвимостей удалённого выполнения кода (RCE): CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9.2 по CVSS v4.0 и не требуют аутентификации.

Уязвимости затрагивают ветки PHP 8.2–8.5. Более старые версии, включая PHP 5.x и неподдерживаемые ветки, не получат исправлений — их нужно мигрировать. Как это работает Обе уязвимости связаны с внутренними механизмами управления памятью и обработки запросов в PHP.

🔵CVE-2026-109618 — ошибка обработки out-of-memory. Когда PHP сталкивается с нехваткой памяти во время частичной инициализации данных запроса, при очистке он может неправильно интерпретировать частично инициализированные данные как валидные. Это приводит к повреждению памяти и, как следствие, к выполнению кода с привилегиями рабочего процесса PHP. 🔵CVE-2026-109619 — stale global state и use-after-free. После аномального завершения запроса PHP не сбрасывает внутреннее глобальное состояние. Следующий запрос может обратиться к уже освобождённой памяти. Это позволяет читать чувствительные данные из памяти процесса (пароли, токены, API-ключи) или выполнить произвольный код.

Важно: рабочий эксплойт подтверждён для Apache mod_php. Для PHP-FPMэксплуатация зависит от поведения конкретного приложения, но исследователи также демонстрировали RCE. Почему это критично

👀 PHP работает на значительной части веба, включая WordPress и огромное количество кастомных приложений. Обновление CMS, плагинов или зависимостей не закрывает эти уязвимости — они находятся в самом рантайме PHP.

На момент публикации патча публичного подтверждённого взлома не зафиксировано, но Cloudflare уже сообщал о ранних попытках эксплуатации. Окно для безопасного обновления закрывается быстро. Что делать 1️⃣Проверить версию PHP. Если вы на 8.2–8.5 — обновиться до патченной версии сегодня. 2️⃣Если вы на неподдерживаемой ветке (8.1 и ниже, 7.x, 5.x) — патча не будет. Планируйте миграцию. До миграции — минимизируйте поверхность: уберите публичный доступ к среде, где это возможно. 3️⃣Проверить логи на предмет аномальных запросов, которые могли вызвать out-of-memory или аномальное завершение. Особенно если в логах есть всплески 500-х ошибок без очевидной причины. Ссылки 🔗 Critical PHP2Shell Vulnerabilities Threaten Web Servers — CIRT.GY — бесплатно 🔗 PHP Ships Emergency Out-of-Cycle Patch — CERT.UG — бесплатно 😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard: PySec Edition | Чат

🤔 Pentool: пентест в терминале, который выглядит как Burp Suite Большинство инструментов для веб-пентеста — это либо громоздкие IDE, либо консольные утилиты без нормального интерфейса. Pentool пытается совместить оба мира: TUI-интерфейс с прокси, сканером, репитером и AI-ассистентом. Всё работает прямо в терминале. Бесплатно(open-source), но есть платный PRO-режим с дополнительными фичами. Что внутри

👍Перехват трафика — HTTP/HTTPS-прокси с возможностью менять запросы на лету, Match & Replace, WebSocket. 👍Сканер — активный и пассивный: SQLi, XSS, SSTI, LFI, RCE, SSRF, XXE, JWT-флаги. С обходом WAF и time-based/blind-техниками. 👍Repeater и Intruder — повторная отправка запросов и автоматизированные атаки полезными нагрузками (Sniper, Battering Ram, Pitchfork, Cluster Bomb). 👍Spider — обход сайта с рендерингом JavaScript (Lightpanda), сбор форм, API-эндпоинтов и JS-файлов. 👍AI-ассистент — подсказывает, какие проверки запустить, помогает обходить WAF и искать скрытые эндпоинты. 👍Plugin System — расширения без изменения ядра. PRO-плагины добавляют продвинутые сканеры и генераторы отчётов.

Как установить

uv tool install pentool

Одна команда. Работает на Linux, macOS и Windows (лучше через WSL). Требуется современный терминал с поддержкой мыши и true color — GNOME Terminal, Kitty, Alacritty, WezTerm, Windows Terminal. Практический пример Запускаешь pentool в терминале. Указываешь URL цели. Инструмент сам поднимает прокси, генерирует и импортирует CA-сертификат в headless-браузер, отправляет первый запрос. Дальше — работаешь как в Burp Suite, но без переключения окон: вкладки, история, сканер, репитер — всё в одном TUI. Платность

🤨 Бесплатно: базовый функционал — прокси, сканер, репитер, интрудер (без Turbo Mode), спайдер, декодер, компаратор. 🤨 Платно (PRO): Turbo Mode (10× скорость через Keep-Alive и пул соединений), продвинутые сканеры, умные полезные нагрузки, генераторы отчётов. Для обучения и большинства задач хватает бесплатной версии.

Ссылка 🔗 GitHub: DrXOps/pentool — бесплатно (PRO-функции платные) 😈 CodeGuard: PySec Edition | Чат

✍️ PentestGPT: как запустить автономного AI-агента для пентеста за 15 минут Ты слышал про AI-агентов, которые «сами ломают». PentestGPT — один из них. Это open-source фреймворк, который указывает LLM на цель и позволяет ей работать: разведка, эксплуатация, отчёт. Без ручного вмешательства. Но перед тем как направить его на реальный периметр, нужно понять, как он устроен и где может навредить. Что это

🔥 PentestGPT — open-source агент для автоматизированного пентеста. Оригинальная версия вышла на USENIX Security 2024, текущая — развивается как agentic-фреймворк. Он запускает LLM (Claude Code или Codex) и даёт ей инструменты: сканирование, эксплуатацию, сбор результатов. Модель сама решает, что делать дальше.

Два режима: 👀Default: recon → exploit → walkthrough. Каждый этап передаёт данные следующему. 👀Pentest mode: asset discovery → vulnerability identification → report. Более формальный пайплайн. Важно: в автономном режиме человек не сидит в цикле. Агент сам выбирает действия. Что нужно для установки 🤨 Python 3.12+ uv — менеджер пакетов (быстрее pip) 🤨 Claude Code или Codex CLI — с аутентификацией. Это платные сервисы, но для базового использования хватает бесплатных лимитов. 🤨 Docker (опционально) — образ уже содержит оба CLI, логины сохраняются в volumes. Сам PentestGPT бесплатный (open-source, GitHub). Платить нужно только за API-доступ к LLM, если выходите за бесплатные квоты. Как запустить (кратко)

# Клонировать
git clone https://github.com/GreyDGL/PentestGPT.git
cd PentestGPT

# Установить зависимости через uv
uv sync

# Аутентифицировать Claude Code или Codex
claude login   # или codex login

Дальше — запуск. В Docker-образе логины уже прокинуты, если вы их сделали один раз. Ссылки 🔗 PentestGPT — GitHub — бесплатно (нужны API-ключи Claude/Codex) 🔗 PentestGPT — обзор Help Net Security — бесплатно 😈 CodeGuard: PySec Edition | Чат

ЛУЧШИЙ ВПН — ОБХОДИТ БЕЛЫЕ СПИСКИ🤖 В момент, когда интернет так нужен - его попросту нет. Но ребята из STRELKA VPN уже сделали стабильный проход на любые сайты. 🔘 Обходим белые списки любого региона [Подключиться] 🔘 Бесплатный пробный период [Для наших подписчиков] 🔘 Подключение за пару минут [Инструкция] 🔗Подпишись, уже сейчас @Strelka_vpn_bot

🔍 Velociraptor: как за 30 минут развернуть DFIR-платформу и найти следы атаки на 500 машинах В августе 2025 года атакующие использовали старую версию Velociraptor, чтобы закрепиться в сетях после эксплуатации SharePoint. Инструмент, который Blue Team использует для форензики, стал оружием. Это напоминание: если ты не знаешь, как Velociraptor выглядит в сети, ты не отличишь легитимный агент от чужого. Вот как развернуть его правильно и провести первый hunt. Бесплатно (open-source). Что это

🤨 Velociraptor — платформа для цифровой форензики и реагирования на инциденты (DFIR). Не антивирус и не EDR: она не блокирует атаки, а собирает доказательства с сотен и тысяч endpoint'ов за минуты. Один аналитик может запустить запрос на всей инфраструктуре и получить, например, список подозрительных процессов с 500 машин в одной таблице.

Работает на Windows, Linux и macOS. Сервер — один бинарник, без внешних зависимостей и отдельной базы данных. Шаг 1. Скачать и установить сервер

VELOCIRAPTOR_VERSION="0.77.2"
wget https://github.com/Velocidex/velociraptor/releases/download/v${VELOCIRAPTOR_VERSION}/velociraptor-v${VELOCIRAPTOR_VERSION}-linux-amd64 -O /tmp/velociraptor
sudo mv /tmp/velociraptor /usr/local/bin/velociraptor
sudo chmod +x /usr/local/bin/velociraptor
velociraptor --version

Важно: всегда проверяй SHA-256 скачанного файла с тем, что опубликован на GitHub. Именно подмена бинарника стала частью кампании ToolShell. Шаг 2. Сгенерировать конфигурацию

sudo mkdir -p /etc/velociraptor /var/lib/velociraptor
sudo velociraptor config generate -i

Мастер спросит имя хоста, порт и создаст два файла: server.config.yaml и client.config.yaml. Сохрани логин и пароль администратора, которые он сгенерирует. Шаг 3. Исправить bind_address и public_url По умолчанию сервер слушает только 127.0.0.1. Чтобы GUI был доступен из сети, открой server.config.yaml и замени: bind_address: 127.0.0.1 → bind_address: 0.0.0.0 public_url: https://127.0.0.1:8000/ → public_url: https://IP-ИЛИ-ДОМЕН:8000/ Если этого не сделать, клиенты будут получать handshake failed. После правки — перезапусти сервис. Шаг 4. Создать systemd-сервис

sudo useradd -r -s /bin/false velociraptor
sudo chown -R velociraptor:velociraptor /etc/velociraptor /var/lib/velociraptor

Создай /etc/systemd/system/velociraptor.service:

[Unit]
Description=Velociraptor DFIR server
After=network.target

[Service]
User=velociraptor
Group=velociraptor
Restart=always
RestartSec=10
LimitNOFILE=20000
ExecStart=/usr/local/bin/velociraptor --config /etc/velociraptor/server.config.yaml frontend -v
WorkingDirectory=/var/lib/velociraptor

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable --now velociraptor

Шаг 5. Первый hunt Зайди в GUI: https://IP-СЕРВЕРА:8000. Авторизуйся. В боковом меню выбери Hunt Manager → New Hunt. Выбери артефакт, например Windows.System.Pslist (список процессов). Запусти на всех клиентах, которые уже подключены. Через минуту у тебя будет таблица: хост, PID, имя процесса, командная строка, родитель. Дальше можно фильтровать: искать powershell -enc, whoami, net user — то, что атакующий запускает после закрепления. Практический пример Ты видишь алерт на подозрительный процесс. Вместо того чтобы бегать по машинам вручную, запускаешь hunt на все endpoint'ы:

SELECT Name, Pid, CommandLine, ParentName FROM pslist()
WHERE CommandLine LIKE '%powershell%' AND CommandLine LIKE '%-enc%'

Если запрос возвращает строки с трёх разных хостов — это не единичный случай. Это кампания. И ты нашёл её за минуты, а не за дни. 😈 CodeGuard: PySec Edition | Чат

⚡️Группа хакеров взломала сервера Skillbox, Geekbrains, Skillfactory и ещё 12 онлайн-школ, чтобы выгрузить их курсы в Telegram Юристы пытаются удалить каналы за Авторские Права🤡 – потому вот актуальные ссылки на архивы: По школам:  ├ Skillbox (1.12 ТБ) ├ Нетология (846 ГБ) ├ SkillFactory (720 ГБ)  ├ GeekBrains (934 ГБ) └ Другие (3.21 ТБ) По ЯП: ├ Python (1.48 ТБ) ├ SQL (982 ГБ) ├ C++ (590 ГБ) ├ С (318 ГБ) ├ GoLang (290 ГБ) └ Другие (3.17 ТБ) Ссылка на общий архив: @schools_hack_arc

5️⃣ бесплатных ресурсов, которые заменяют платные курсы по ИБ. Проверено в 2026 Платить за курсы не обязательно. Но важно понимать, что именно бесплатно, а что — «бесплатно, но с ограничениями». Собрали пять ресурсов, которые дают реальные знания и практику. Все — с открытым доступом. Некоторые имеют платные уровни, но базового хватает для старта. 1. PortSwigger Web Security Academy — лучший бесплатный ресурс по веб-безопасности Бесплатно. Создан компанией PortSwigger (Burp Suite). 250+ лабораторий по всем категориям OWASP Top 10: SQL-инъекции, XSS, SSRF, CSRF, broken access control. Всё в браузере, инфраструктуру разворачивать не нужно. Если хочешь в веб-безопасность — начинай здесь. 🔗 portswigger.net/web-security — бесплатно 2. BSI Übungszentrum Netzverteidigung 2.0 — открытый тренажёр от немецкого регулятора Бесплатно. Федеральное ведомство по безопасности Германии (BSI) выложило в open-source платформу для киберучений на базе Infrastructure-as-Code. Внутри — пять готовых модулей: OSINT, безопасность веб-приложений, фишинг, malware и безопасность инфраструктуры Windows. Разворачивается локально, можно адаптировать под себя. 🔗 bsi.bund.de — Übungszentrum Netzverteidigung 2.0 — бесплатно 3. SecPort — портал с курсами по кибербезопасности на 24 языках ЕС Бесплатно. Портал для всех, кто хочет освоить базовые навыки: от обычных пользователей до студентов и сотрудников организаций. Внутри — курсы Cybersecurity Essentials, Influence Operations, игра Cyber City Tycoon и глоссарий. Без регистрации, без оплаты, без фиксированного расписания. Материалы на 24 официальных языках ЕС. 🔗 SecPort — Cybersecurity learning portal — бесплатно 4. Brandefense Free Tools — проверь, что о тебе знают атакующие Бесплатно (базовые инструменты, без регистрации). Risk Score для домена, проверка утечек через infostealer-логи, WordPress Exposure Check, Ransomware Tracker, база Threat Actors, File Intelligence. Всё — в одном месте. Инструменты показывают то же, что видят атакующие, но в ограниченном объёме. Для быстрой проверки — идеально. 🔗 brandefense.io/free-tools — бесплатно (есть платная платформа) 5. Safeguard.sh — карта бесплатного обучения AppSec в 2026 Бесплатно (статья). Не курс, а подробный гайд: с чего начать, какие ресурсы использовать и в каком порядке. Внутри — ссылки на freeCodeCamp, MDN, PortSwigger, OWASP Juice Shop, TryHackMe, OpenSSF LFD121 и другие. Автор объясняет, почему бесплатных ресурсов достаточно и как построить портфолио без платных сертификатов. 🔗 safeguard.sh — Free Ways to Learn Application Security in 2026 — бесплатно Как использовать Не пытайся пройти всё сразу. Выбери одну цель: 👍Веб-безопасность → PortSwigger Academy 👍Практика в локальной среде → BSI Übungszentrum 👍База на русском или другом языке ЕС → SecPort 👍Быстрая проверка домена или утечек → Brandefense 👍Понять, с чего начать → Safeguard.sh Через месяц регулярной практики ты будешь знать больше, чем после года просмотра видео. 😈 CodeGuard: PySec Edition | Чат

🔒 Один секрет — 173 тенанта: как атакующие вошли в Microsoft 365 через доверенное приложение для бэкапа Разбор инцидента. На этот раз — не про CVE и не про эксплойт. Про то, что происходит, когда компания выдаёт приложению широкие права, а потом забывает, что эти права — тоже поверхность атаки. MFA не помогла. Потому что это был не вход пользователя. Что случилось

🤨 15 октября 2026 года, между 06:13 и 08:34 UTC, неизвестный атакующий использовал скомпрометированный credential, принадлежащий ConnectWise Cloud Backup (ранее SkyKick), чтобы аутентифицироваться как это приложение в тенантах Microsoft 365. Подтверждено 173 пострадавших тенанта — партнёров MSP и их клиентов.

Это не компрометация пользовательского аккаунта. Это компрометация identity приложения (service principal). Атакующий вошёл как приложение, а не как человек. Почему MFA не сработала

ConnectWise Cloud Backup — продукт для бэкапа и миграции, который MSP устанавливают в тенанты своих клиентов. При установке администратор соглашается на набор application-level permissions: чтение и запись почты, OneDrive, SharePoint, Teams, данные каталога.

Эти разрешения выданы приложению, а не пользователю. Приложение может действовать без подписанного пользователя. Когда атакующий получил его credential, он унаследовал те же права во всех тенантах, где приложение было установлено.

🤨 MFA, conditional access, session controls — всё это не применяется к аутентификации приложения. Они защищают пользовательские входы. Здесь вход был не пользовательский.

Что делал атакующий По данным Huntress:

👀Аутентификация шла с IP 144.172.64.128 (хостинг RouterHosting). Атакующий двигался по тенантам в отсортированном порядке GUID, с интервалом в несколько секунд. Это была автоматизация по списку целей, а не ручной перебор. 👀Перед основной волной тот же IP проводил password spraying против тенантов юридических фирм 13 и 14 октября. 👀В одном тенанте приложение ConnectWise Cloud Management добавило себя в роль Global Administrator, а затем запустило Python-скрипт, который добавил новые client secrets к двум другим приложениям — MSP-приложению и Huntress Security Platform. Секреты были установлены со сроком действия до 2028 года.

Добавление учётных данных к доверенным приложениям — известная техника персистентности (MITRE ATT&CK T1098.001). Это не «оставить бэкдор на диске». Это встроиться в доверие платформы. Что делать

1️⃣Инвентаризация third-party приложений. Найди все enterprise applications с tenant-wide permissions. Не только ConnectWise. Все. 2️⃣Проверь credential и role assignments, добавленные после 13 октября. Особенно client secrets и Global Administrator. 3️⃣Отключи скомпрометированные приложения, если ConnectWise не подтвердила ротацию credential. 4️⃣Помни: отключение приложения не отзывает уже выданные токены. Они могут оставаться действительными до 90 минут. 5️⃣Проверь Graph activity. Чтение через Graph оставляет ограниченные audit-следы. Отсутствие доказательств эксфильтрации — не доказательство её отсутствия.

Почему это важно

🤨Это не уязвимость в коде. CVE не присвоен. Атакующий не эксплуатировал баг в протоколе или библиотеке. Он использовал легитимный механизм доверия, который компании сами настроили: «этому приложению можно читать почту и файлы, потому что оно делает бэкап».

Если приложение имеет доступ к почте и файлам, его credential — это привилегированная учётная запись. И защищать его нужно так же, как domain admin. 😈 CodeGuard: PySec Edition | Чат

✍️ CVE-2024-6387 «regreSSHion»: как ошибка 2006 года вернулась и дала root на миллионах OpenSSH-серверов Разбор уязвимости. Эта история интересна не тем, что «нашли дыру». А тем, что баг вернулся. Его исправили в 2006 году, а в 2020-м случайно вернули обратно. В 2024-м он превратился в критическую RCE с CVSS 8.1, которая позволяет получить root на OpenSSH-сервере без аутентификации. Что за уязвимость 🔥 CVE-2024-6387 — signal handler race condition в OpenSSH-сервере (sshd). CVSS 8.1. Уязвимы версии от 8.5p1 до 9.7p1 включительно, а также версии ниже 4.4p1 (если они не пропатчены отдельно). Исправлено в 9.8p1. 🤨 Проблема в обработчике сигнала SIGALRM, который вызывается, если клиент не завершил аутентификацию за LoginGraceTime (по умолчанию 120 секунд). Внутри этого обработчика вызываются функции, не безопасные для асинхронных сигналов (malloc, free, syslog). Атакующий может эксплуатировать race condition и выполнить произвольный код с правами root, не проходя аутентификацию. Почему это «regreSSHion»

🤨 Название — от «regression» + «SSH». Уязвимость CVE-2006-5051 была исправлена в 2006 году. В 2020 году в код внесли изменение, которое случайно вернуло ту же ошибку. Так баг прожил четыре года, пока его не обнаружили исследователи из Qualys. Это напоминание: старые уязвимости не исчезают. Они ждут, когда кто-то снова наступит на грабли.

Кто под ударом 🔵По оценке Qualys, в интернете около 14 миллионов экземпляров OpenSSH. Не все из них уязвимы: нужны конкретные версии и конфигурация (по умолчанию LoginGraceTime не равен 0). Но даже если уязвимы 10% — это сотни тысяч серверов. 🤨 Эксплуатация сложная: требуется выиграть race condition, отправить тысячи соединений, обойти ASLR. Публичного эксплойта на момент раскрытия не было. Но Qualys показали, что это возможно. Что делать 1️⃣Проверить версию: ssh -V. Если 8.5p1–9.7p1 — обновляться. 2️⃣Обновиться до 9.8p1 или применить патч от дистрибутива. 3️⃣Если обновление невозможно — установить LoginGraceTime 0 в sshd_config. Это отключает таймаут, но открывает другой риск: DoS через исчерпание соединений. 4️⃣Ограничить доступ к SSH по IP, если это возможно. Ссылки 🔗 Qualys: regreSSHion — RCE in OpenSSH's server — бесплатно 🔗 NVD: CVE-2024-6387 — бесплатно 😈 CodeGuard: PySec Edition | Чат

VPN, с которым вы останетесь надолго🫶 STRELKA — лучший VPN-бот в Telegram на всех устройствах без рекламы и по цене чашки кофе. 🔘Сотни довольных пользователей сервиса 🔘Обход «Белого списка» 🔘Семь дней бесплатного периода 🔘Моментальная Тех. поддержка ✅ Ссылка на сервис — @strelkavpn

🔗 Supply-chain атака через ConnectWise: как доверенное приложение для бэкапа открыло доступ к 162+ тенантам Microsoft 365 Пока одни обсуждают очередную CVE в VPN-шлюзе, произошло то, что сложнее заметить и опаснее пропустить: атакующий не ломал периметр. Он вошёл через приложение, которому компании сами выдали широкие права. И MFA не помогла, потому что это был не вход пользователя, а вход приложения. Что случилось

🔵ConnectWise — поставщик IT-решений для MSP и корпоративных команд — отключил доступ клиентов к своему сервису Cloud Backup (ранее SkyKick Cloud Backup) после того, как злоумышленники получили доступ к application identities (service principals) внутри среды Cloud Backup и скомпрометировали тенанты Microsoft 365.

Huntress подтвердила как минимум 162 скомпрометированных тенанта в своей среде. Microsoft также подтвердила вредоносную активность: несанкционированные попытки аутентификации с IP-адреса 144.172.64[.]128 начиная с 15 октября. Механизм атаки: почему MFA не сработала 🟣Сервис Cloud Backup для работы с Microsoft 365 использует service principal— идентичность приложения, которой в тенанте клиента заранее выданы права (например, на чтение и запись почты, OneDrive, SharePoint, Teams). 🟣Атакующий аутентифицировался напрямую как это приложение, используя его секрет. Это не пользовательский вход. Поэтому MFA оказалась бесполезной — она просто не применяется к аутентификации приложения. 🟣Поскольку приложение уже имело широкие ранее выданные разрешения, эти входы дали атакующему техническую возможность читать и записывать почту и вложения, файлы OneDrive и SharePoint, а также чаты Teams. Почему это важно

🤨 Это не «очередная утечка». Это атака на доверие: компании выдали приложению широкие права, потому что оно должно было делать бэкапы. Атакующий использовал это доверие, чтобы получить доступ к данным, и MFA не является барьером, когда вход выполняется от имени приложения.

Урок для защиты: аудит service principals и выданных им разрешений — не менее важен, чем аудит пользовательских аккаунтов. Если приложение имеет доступ к почте и файлам, его секреты и разрешения должны быть под таким же контролем, как привилегированные учётные записи. Ссылка 🔗 Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack — BleepingComputer, 17.10.2026 — бесплатно 😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard Cyber Challenge — твой ежедневный челлендж по ИБ Рассказываю, мы писали этого бота для три дня и три ночи.. @CTF_CodeGuard превращает обучение в игру: каждое утро — новое задание, персонально под тебя.

Что ты получаешь: ▶️ Новое задание каждый день ▶️ Только практика ▶️ Персональный подход ▶️ Профиль навыков

🎁 Первые 3 дня — полностью бесплатно 🏆 CTF и призы за реальные результаты. Сезон начнется со дня на день = 21 день. Побеждает тот, кто наберёт больше всех баллов за выполненные задания. Призовой фонд — от 5 000 до 50 000 ₽. Чем Больше участников, тем больше приз. Начать тут ⬇️ @CTF_CodeGuard @CTF_CodeGuard @CTF_CodeGuard

Мы начинаем тебя практиковать. Лучших будет ждать награда.

👾 CTF_CodeGuard

🚨 CVE-2026-104935: цепочка zero-day в Ivanti Connect Secure даёт root без пароля Воскресенье. Разбор уязвимости. Эта история — не про очередную дыру в веб-приложении. Это про то, как атакующий проходит через VPN-шлюз, который стоит на периметре корпоративной сети, и получает root. Без логина. Без пароля. Без единого клика со стороны пользователя. CISA уже добавила её в список активно эксплуатируемых, а патчить нужно было вчера. Бесплатно(новость и рекомендации). Что произошло

🔥Ivanti Connect Secure (ICS) — это enterprise--grade SSL VPN, который обеспечивает удалённый доступ сотрудников к корпоративным ресурсам. Штука критичная: через него ходит трафик компаний, и если он скомпрометирован, атакующий оказывается внутри сети. 🔥Уязвимость CVE-2026-104935 — это authentication bypass, который позволяет удалённому атакующему без привилегий выполнить произвольные команды на устройстве. Низкая сложность, не требует взаимодействия с пользователем. 🔥Но главное — не сама уязвимость, а цепочка. Исследователи из Volexity обнаружили, что threat actor UTA0576 скомбинировал три бага: authentication bypass, RCE и privilege escalation. Результат — неаутентифицированное выполнение кода с правами root на полностью пропатченных устройствах.

Как это работает (по данным Volexity) 👍Authentication bypass — атакующий обходит проверку логина и получает доступ к административному интерфейсу. 👍Remote Code Execution (RCE) — через интерфейс выполняется произвольный код. 👍Privilege Escalation — локальная уязвимость повышает права до root. После этого атакующий делает то, что ему нужно: крадёт учётные данные Active Directory, включая LAPS-пароли и ключи восстановления BitLocker. 🤨 Самое интересное: UTA0576 не разворачивал малварь и не оставлял веб-шеллы. Вместо этого он повторно эксплуатировал устройство для каждой команды и подчищал логи, чтобы обойти встроенный Integrity Checker Tool от Ivanti. Это не «оставить бэкдор и уйти». Это «жить в системе, не оставляя следов». Кто под ударом Затронуты версии ICS: 🔵22.8R2.4 и старше 🔵25.1.2.2 и старше 🔵25.1.1.1 и старше Ivanti уже выпустила патчи: 22.8R2.5, 25.1.3.0, 25.1.3.1, 25.1.1.2. По данным Shadowserver, в интернете暴露 более 5 500–5 600 экземпляров ICS. Сколько из них пропатчено — неизвестно. Что делать 1️⃣Проверь версию. Если у тебя ICS из списка уязвимых — это пожар. 2️⃣Обновись до патченной версии. Ivanti рекомендует «act immediately». 3️⃣Запусти Integrity Checker Tool. Он может не найти следов (UTA0576 их подчищал), но других атакующих — найдёт. 4️⃣Проверь логи на аномалии. Ищи необычные административные сессии, доступ к LAPS, попытки чтения BitLocker-ключей. 5️⃣CISA добавила CVE-2026-104935 в KEV. Федеральные агентства США должны были закрыть уязвимость до пятницы. Для всех остальных — рекомендация сделать то же самое. Почему это важно

❓Ivanti Connect Secure — не нишевый продукт. Это VPN-шлюз, который стоит на периметре тысяч компаний. Если он скомпрометирован, атакующий получает доступ к внутренней сети без каких-либо учётных данных. Цепочка zero-day делает это ещё опаснее: даже свежепропатченная система может быть уязвима, если патчи закрывают не все компоненты цепочки.

Этот кейс также показывает, как атакующие адаптируются: никакой малвари, только повторная эксплуатация и очистка логов. Защита, которая ищет только файлы, такое не увидит. Ссылки 🔗 Ivanti warns of Connect Secure zero-day exploited in attacks — BleepingComputer — бесплатно 🔗 CISA warns admins to immediately fix Ivanti flaw exploited as zero-day — BleepingComputer — бесплатно 🔗 Volexity: A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days — бесплатно 😈 CodeGuard: PySec Edition | Чат

🐙 Awesome Cyber & AI Arsenal: репозиторий, где red team, blue team и AI-безопасность собраны в одном месте Ты устал от подборок, где инструменты свалены в кучу без логики? Этот репозиторий устроен иначе: три больших блока — Offensive (Red Team), Defensive (Blue Team / DevSecOps) и AI / LLM Security. Внутри — не просто ссылки, а подкатегории: от recon и port scanning до LLM red teaming и guardrails. Автор собрал то, что реально используется в 2026 году, и разложил по полочкам. Бесплатно (open-source). Что внутри 🔵Offensive (Red Team): Recon — subfinder, Amass, OneForAll, findomain, puredns, dnsx, tlsx, CloudFox, BBOT. 🔵Port scanning — naabu, masscan, RustScan, Smap. 🔵HTTP probing / crawling — httpx, httprobe, gowitness, katana, Photon, dirsearch, feroxbuster. 🔵Vulnerability scanners — Nuclei, sqlmap, XSStrike, Dalfox. 🔵C2 / post-exploitation — Metasploit, Sliver, Havoc. Defensive (Blue Team / DevSecOps): 🔵SAST / code analysis — Semgrep, Bandit, CodeQL. 🔵Dependency / container / supply-chain — Trivy, Grype, Syft. 🔵Secrets detection — Gitleaks, TruffleHog. 🔵Network vulnerability management — OpenVAS, Nessus (free tier). 🔵Hardening / sanitization — Lynis, OpenSCAP. AI / LLM Security: 🔵AI-powered offensive agents — инструменты, которые автоматизируют пентест с помощью LLM. 🔵LLM red teaming & vulnerability scanning — Garak, PyRIT, promptfoo. 🔵LLM defense / guardrails — llm-guard, NeMo Guardrails. 🔵Uncensored / local models — для тестирования в изолированной среде. Практический пример Ты проверяешь LLM-приложение на prompt injection. Открываешь раздел AI / LLM Security → LLM Red Teaming. Находишь Garak — open-source сканер для LLM. Устанавливаешь, запускаешь:

pip install garak
garak --model-type openai --model-name gpt-4 --probes promptinject

Через несколько минут получаешь отчёт: какие промпты сработали, какие защита выдержала. Дальше — раздел Defensive → Guardrails, и ты смотришь, как закрыть найденные дыры. 😈 CodeGuard: PySec Edition | Чат